Irán ha vuelto a golpear la infraestructura crítica de Estados Unidos esta vez a través del ciberespacio y con los sistemas de agua como diana. Los ataques, que afectaron a decenas de municipios en al menos siete estados, no comprometieron la calidad del suministro ni causaron cortes prolongados. Y sin embargo, revelan una capacidad de disrupción en zona gris que preocupa a los servicios de inteligencia estadounidenses.
La anatomía del ataque: PLCs expuestos y la huella iraní
El modus operandi de la operación fue técnicamente modesto pero quirúrgico. Según el análisis de The Soufan Center, los operadores de múltiples sistemas de agua en Minnesota notificaron actividad maliciosa a finales de julio. El blanco no era otro que los controladores lógicos programables (PLC), esos dispositivos que permiten monitorizar y operar equipos de forma remota. La firma iraní, aunque no oficialmente atribuida, es consistente con operaciones previas que las agencias de inteligencia de EE.UU. ya han vinculado a actores cibernéticos de Teherán.
Si usted tiene la imagen del ciberataque como un despliegue de zero-days y sofisticadas intrusiones, piénselo de nuevo. En este caso, la puerta de entrada fueron credenciales por defecto o compartidas y sistemas expuestos a la internet pública. Algo que la Agencia de Protección Ambiental (EPA) y la CISA llevan años advirtiendo. Pero la implementación de esas alertas ha sido limitada, máxime tras los recortes de personal y financiación que la agencia sufrió durante el segundo mandato de Donald Trump.
El patrón es ya un clásico de la guerra en zona gris: provocar disrupción operativa, generar ansiedad pública y testar las capacidades de defensa sin cruzar el umbral que justificaría una respuesta cinética convencional. Un clic en lugar de un misil.
El juego asimétrico que Teherán aprendió de Moscú
Que Irán haya puesto el ojo en las plantas de agua estadounidenses no es una novedad. En 2013, hackers iraníes ya se infiltraron en los sistemas de la presa Bowman Avenue, en Nueva York, lo que llevó al Departamento de Justicia a imputar a siete nacionales de ese país. En 2023, un operador afín a Teherán comprometió el suministro de agua en Aliquippa, Pensilvania. Y durante la Guerra de Irán, el grupo Handala lanzó un ataque masivo contra la tecnológica médica Stryker.
La progresión es constante y, como señala el informe de The Soufan Center, replica la lógica de las redes proxy que Irán usa en Oriente Próximo: herramientas para operar más allá de sus fronteras y restaurar una apariencia de disuasión. De hecho, la estrategia híbrida iraní bebe del manual ruso: campañas de influencia en redes sociales, reclutamiento de delincuentes de poca monta para ataques o actos vandálicos y, por supuesto, ciberoperaciones de señalización. El grupo pantalla Harakat Ashab al-Yamin al-Islamia (HAYI) lleva meses reclutando a locales en Europa para golpear objetivos judíos e israelíes.
La verdadera alarma no es el daño inmediato, sino la impunidad con la que Irán puede preposicionarse en las redes críticas estadounidenses.
Le adelanto que la pregunta que se hacen ahora en Langley y Fort Meade no es si Teherán puede apagar el agua en una ciudad de Minnesota. Es si ya está dentro de sistemas mucho más complejos y sensibles.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza en este caso es un ciberataque a infraestructura crítica, concretamente a sistemas de control industrial (ICS) de plantas de agua. Las agencias implicadas son nítidas: Irán —a través de sus actores cibernéticos, presumiblemente vinculados al Cuerpo de Guardianes de la Revolución Islámica (IRGC) o a sus proxy— actúa como servicio atacante; Estados Unidos, con la CISA y la EPA, defiende; y terceros como Israel, aliados de los Cinco Ojos y la propia OTAN observan con preocupación. El nivel de clasificación estimado del material comprometido podría alcanzar el nivel de Secreto, dado que los PLCs expuestos podrían revelar no solo datos de gestión sino también la topología defensiva de sistemas de suministro de agua de decenas de municipios.
El oficio me obliga a recordar un episodio que ya es lección de manual: Stuxnet. Aquella operación atribuida a Estados Unidos e Israel demostró en 2010 cómo un gusano informático podía reventar centrifugadoras en Natanz sin que Irán entendiera del todo qué estaba pasando durante meses. Ahora, el espejo se ha girado. Teherán no necesita gusanos tan sofisticados cuando los PLCs están abiertos de par en par. La ciberseguridad industrial es, permítame la expresión, una ruina en demasiadas instalaciones del mundo desarrollado.
Ya advertí en El quinto elemento que “el próximo 11S empezará con un clic”. Y lo sostengo. No porque un ataque a una depuradora vaya a matar a miles de personas, sino porque la acumulación de incidentes de zona gris erosiona la confianza en la capacidad de respuesta y normaliza la agresión. En España, con más de 8.000 infraestructuras críticas identificadas, el aviso es claro: los PLCs de nuestras potabilizadoras también buscan señal en internet.
No obstante, la atribución en ciberguerra exige prudencia. La comunidad de inteligencia estadounidense habla de “probable ciberataque iraní” y, aunque el historial del IRGC en el dominio cibernético es abultado, aún no se han presentado evidencias técnicas públicas que permitan a un laboratorio como Citizen Lab o Mandiant ponerle nombre y apellido a la APT. Reclamo esa cautela porque la historia del oficio está llena de banderas falsas y de prisas que llevan a guerras.
Lo que sí ofrece este episodio es una ventana abierta a la doctrina. Como suscribí hace una década en Desnudando a Google, “alguien tenía que decir que el rey Google va desnudo”. Hoy, ese monarca es la infraestructura digital de Occidente. Y cada ataque de estos le quita una prenda más. La respuesta, como pedían ya los analistas de The Soufan Center en 2016, pasa por reglas de enfrentamiento claras en el ciberespacio y por una colaboración público-privada real que, de momento, sigue siendo un brindis al sol en demasiados sectores. El agua puede ser el próximo recordatorio amargo.
